Bir https sunucu olmadan, güvenli bir web formu var mümkün mü?

9 Cevap php

Ben https kullanma böylece sabit bir ip adresine bana vermez bir sağlayıcı üzerinde barındırılan bir web sitesi var. Ben bir webform'u kullanarak bazı sayfasını düzenlemek istiyorum ama güvenli bir şekilde olacaktır.

İstemci bir iphone tipi cihaz olacaktır, bu yüzden bir java veya flash uygulaması söz konusu olacaktır.

  • Hala tarayıcıda sadece javascript kullanarak sunucu ve tarayıcı arasında güvenli bir bağlantı için bir yolu var mı?

Sunucuda dil şu anda php ama yakut, python, perl veya lua olabilir.

9 Cevap

SSL sertifikası ana makine adı (common name) bağlıdır - bir SSL sertifikası yükleme teknik sabit bir IP adresi gerektirmez. Biz genellikle bizim ana IP adreslerini değiştirdi ve sertifikaları ile ilgili bir şey hiç değişmedi.

O dedi, gerçekten JavaScript veya benzeri kullanabilirsiniz, ama bu gerçekten güzel bir çözüm değil - her zaman kesmek gibi kokacak.

Sen bazı formu kullanabilirsiniz public key encryption implemented in javascript:

  • Istemci kanattan formu, genel anahtar ve bir js şifreleme kütüphanesi vermek
  • Bir formu yükünü şifreler içinde sunulması üzerine, js başladı
  • Size özel anahtarı ile deşifre

Tel üzerinde hassas bilgileri koklama kimse engelleyemez, ama bir man-in-the-middle saldırılarına karşı herhangi bir koruma sağlamaz. SSL koparmak için biraz yanıltıcıdır böyle bir saldırı yapar, ama imkansız değil.

Geleneksel anlamda, hiçbir ama bir kaç seçenek vardır Not:

  1. Iyi hosting alın. Sen a VPS with a fixed IP $ 20/month için olabilir. 30 $ bir yıl için sertifika. Güvenlik ihtiyacı insanlar için oldukça ucuz.

  2. Siz form verilerini şifrelemek olabilir using javascript and PGP. Bu ucuz (ve sizin kullanıcılara bakacağız) ama o should yeterince verilerinizi güvende tutmak.

  3. Sertifikalarını kendi sunucuları üzerinden (ve uzantısı) form teslimi için izin orada üçüncü taraflar olabilir. Siz ve kullanıcıların olsa verileri kötüye değil onlara güven gerekir.

In theory Javascript ve XMLHttpRequest'ler kullanarak istemci ve sunucu arasında güvenli iletişim çeşit uygulamak olabilir. Pratikte bu iş bir sürü gibi geliyor ve bunu hızlı ve gerçekten güvenli olma şansı düşük görünüyor.

Alex olsa Yukarıda söylediği gibi JS uygulamak başardı bile, yine bu nedenle tüm oldukça anlamsız hale olmayan bir bağlantı üzerinden istemciye JS hizmet etmek olurdu.

Yine, çılgın şeyler önce JavaScript uygulanmıştır ...

Ben cevap hayır olduğunu söyleyebilirim. Sebebi https olmadan, tüm trafik düz metin şifrelenmemiş olmasıdır. Bu nedenle, istemci tarafında herhangi bir şifreleme algoritması veya anahtar değişimi herkes tarafından okunabilir olacaktır. Ama yanlış olabilir ... Ben hiç denemedim.

Bu istemci kontrol edebilirsiniz ve (örneğin) sunucusundan indirilen değil orada javascript güvenilir olması sağlanır, teorik olarak mümkündür. Ben ayrıntılı olabilir ama bu hatlar üzerinde bir şey https kullanarak karşılaştırıldığında eğilimli bir PİDE ve hatadır.

Bir etki alanı adı var - Ayrıca sabit bir IP için gerekli olmamalıdır?

Nasıl JavaScript kullanmak mümkün olurdu? Javascript yürütmek için tarayıcı için sırayla, ilk (daha önce belirtilen) güvensiz sunucudan indirmek zorunda kalacak. HTTPS ve istemci / sunucu protokolüdür, bu nedenle sunucu kendisi ile uygulanması olamaz eğer, sen hiç bunu uygulamak mümkün olmayacaktır.

Eğer HTTPS için ihtiyacınız olan tek bir IP adresi olduğunu, bu yüzden değişti ise önemli değildir. Eğer bir dinamik IP HTTPS kullanmak gerekir, ama sizin sahibesi konuşmak gerekebilir. Barındırma paylaşılan bir sunucuda ise, o zaman işe yaramaz ve size özel bir IP gerekir. Onlar pahalı değil, belki sadece 3 $ / 4 ayda ödemek gerekir?

Alex

SSL etki alanı adı, bir IP adresi kapalı çalışır. Sürece ve bir etki alanı adı kendi ve 443 numaralı bağlantı noktasını açın ve siteniz için satın sertifikayı yüklemek isteyen bir sağlayıcı var gibi, HTTPS yapabilirsiniz.

İşte bunu yapamam varsayarak, söyleniyor, içine bakmak SRP:

Site: "SRP güvenli bir parola tabanlı kimlik doğrulama ve anahtar değişim protokolü Başarılı kimlik doğrulama bir yan ürün olarak bir kriptografik güçlü sırrı, ek olarak ... güvenli sunuculara kimlik doğrulaması müşteriler SRP borsaları sorunu çözer. güvenli iletişim iki taraf sağlar. "

Onlar Javascript örnekleri var. Sen tel üzerinden verileri şifrelemek için yan ürünü kullanmak istiyorum.

Ancak, çoğu afişleri gibi, muhtemelen yeni bir sağlayıcıya taşınma daha iyi olurdu.

Neredeyse 2 yıl sonra, ama şimdi JavaScript bir opensource SSL / TLS uygulaması var. Ancak, şu anda uygulaması bir android telefonu ziyade iphone çalıştırmak için gidiyor bu yüzden sürece, tüm bu yararlı olmayabilir ... ham yuva erişimi sağlamak için Flash dayanır.

http://github.com/digitalbazaar/forge/blob/master/README

etiketler